Главная ошибка privacy-комплаенса: проверять доки, не проверяя инфраструктуру

Пост подготовлен командой Cyber in Privacy, когда DPO != юрист

Часть 1 - Часть 2

🟣Резервные копии

Требование удалить данные невозможно корректно реализовать, пока не определено:

в какие бэкапы они попадают;

как долго хранятся копии;

возможно ли точечное удаление;

когда данные окончательно исчезнут;

могут ли удаленные сведения восстановиться вместе с резервной копией.

Для бэкапов обычно нужен отдельный режим: ограниченный доступ, запрет использования для текущих операций, установленный цикл перезаписи и повторное применение удаления после восстановления.

🟣Подрядчики

В договоре может быть указан ограниченный набор данных, но технически подрядчик получает доступ ко всей системе или продуктивной базе.

📌DPO должен сопоставлять договор не только с описанием процесса, но и с:

матрицей доступов;

архитектурой подключения;

перечнем учетных записей;

журналами действий;

возможностью выгрузки;

перечнем субподрядчиков;

местами хранения данных;

порядком прекращения доступа после завершения договора.

📌Минимальный технический чек-лист DPO

При проверке нового процесса недостаточно спросить: «Есть ли согласие и договор?»

Нужно установить:

✔️Откуда поступают данные?
Форма на сайте, приложение, cookie, телефонный звонок

✔️Какие системы их получают?
Не только основная система, но и DWH, BI, CRM, сервисы аналитики, управления доступом, логирования и резервного копирования.

✔️Какие идентификаторы используются?
ФИО, номер телефона, email, client ID, device ID.

✔️Кто имеет доступ?
Работники, администраторы, разработчики, служба поддержки, подрядчики, аналитики.

✔️Какие копии создаются
Выгрузки, кэш, бэкапы, тестовые базы, почтовые вложения.

✔️Куда данные передаются?
Внутри группы компаний, внешнему оператору, обработчику, облачному провайдеру, сервису аналитики.

✔️Как реализуются сроки хранения?
Автоматическим правилом, ручным удалением, архивированием или только записью в политике.

✔️Как исполняются права субъекта?
Можно ли найти, выгрузить, исправить, заблокировать и удалить данные во всех связанных системах.

✔️Какие технические меры применяются?
IAM, RBAC/ABAC, MFA, шифрование, DLP, DCAP, журналирование, маскирование, сегментация сред.

✔️Что произойдет при инциденте?
Можно ли определить затронутые данные, субъектов, пользователей и системы.

✔️Какие документы стоит запросить у ИТ и ИБ

DPO полезно работать не только с политиками и согласиями, но и с техническими материалами:

архитектурной схемой;

data flow diagram;

реестром информационных активов;

каталогом интеграций;

матрицей ролей и доступов;

описанием API;

правилами логирования;

схемой резервного копирования;

регламентом управления учетными записями;

результатами сканирования DLP/DCAP;

моделью угроз;

отчетами по уязвимостям;

регламентом реагирования на инциденты;

актами удаления и прекращения доступа подрядчиков.

❓Вопрос, который меняет качество privacy-проверки

Не:

«В каком документе описана обработка?»

А:

«Покажите, где физически находятся данные, как они туда попадают, кто может их получить и как они удаляются».

DPO не обязан самостоятельно настраивать SIEM, IAM или DLP. Но он должен понимать, какие технические доказательства подтверждают соответствие и где юридическая модель расходится с реальной инфраструктурой.

Именно этот разрыв между privacy и ИБ мы разбираем на Cyber in Privacy: без попытки превратить DPO в инженера, но с пониманием архитектуры, доступов, интеграций, логов, тестовых сред, DLP, DCAP и технического жизненного цикла данных.

RPPA.pro | RPPAedu.pro

😎 Профилактический визит РКН: всё, что важно знать

Публикуем итоги вебинара от Лии Барсегян об особенностях проведения профилактических визитов представителей Роскомнадзора!

ССЫЛКА VK | YOUTUBE

⭐ А также полезную информацию по профвизиту от спикера:

1️⃣ Смотрим сам Приказ № 390

В плане профвизитов указан уровень риска и срок проверки в рабочих днях. Это подсказка — какие вопросы будут в приоритете у РКН и что стоит проверить у себя первым делом.

Риск = тяжесть (ex., категории ПД, наличие ТГП) + вероятность (были ли нарушения раньше). Срок = насколько критична обработка ПД в компании с точки зрения интересов субъектов. Чем крупнее компания, чем больше история нарушений и чем чувствительнее ПД/обработка ПД — тем выше внимание регулятора.

2️⃣ Аудит

🔘 DPO обычно живет в режиме вечного аудита, а профвизит — отличный повод ускорить эту работу.

🔘 Берите за основу Приказ № 253, примерный перечень ТО РКН и предлагаемые консалтингом списки документов, отмечайте: что есть, что лишнее, чего не хватает.

🔘 Проведите обучение — базовое по ст. 22.1 и отдельно расширенное для руководства.

🔘 Главная задача — актуализировать сведения о процессах обработки. Вместе с ИТ и подразделениями обновляете объемы ПД, категории субъектов, места и системы обработки — и уже сможете обновить/создать документы.

⚠️ На что обратить внимание:
— после тренингов из-за фонового стресса коллеги начинают видеть ПД там, где их нет
— легаси-системы легко забыть при инвентаризации
— если решение нельзя объяснить — скорее всего, это разовое решение конкретного человека, и его можно пересмотреть

3️⃣ Что может спросить инспектор

Списки документов примерные, не исчерпывающие. Если вы спецсубъект — добавьте свои специальные документы.

🔘 РКН может запросить договоры на SaaS (проверить основание обработки), попросить показать запирающиеся шкафы (ПП 687), защищенность серверной (ПП 1119), продемонстрировать системы по видеосвязи.
🔘 Также могут спросить про сроки обработки, отсутствие положения об Awareness, процесс уничтожения данных, периодичность процедур внутреннего контроля и подтверждение их проведения — и любые другие вопросы по сути обработки ПД и подходам к организации обработки.

4️⃣ Технические моменты

▶️ Документы vs процессы — не привязывайте документы жестко к процессам. То, что требует закон, и то, что нужно бизнесу — разные истории. РКН смотрит на соответствие допустимого разрешенному/незапрещенному. Поэтому оптимально: сначала «базовый стандарт» по закону, а внутри него — реестр процессов, точечные инструкции/журналы/реестры и все, что нужно бизнесу, — уже во исполнение стандарта.

▶️ Полномочия — проверьте, что у вас все в порядке с полномочиями, и заранее протестируйте приложение «Инспектор».

▶️ Звонок инспектору — после уведомления можно и стоит позвонить: уточнить формат и сроки передачи документов, их перечень, договориться об актуализации устаревшего уведомления после аудита, обсудить специфику компании и любые вопросы, которые вас волнуют.

▶️ Не бойтесь обращаться к регулятору — цель профвизита не наказание. Это подтверждается и моим опытом, и опытом знакомых, а главное — прямо написано в Приказе № 390: профилактика направлена на решение проблем низкой правовой грамотности и информированности операторов.

5️⃣ Если до визита осталось 2 недели

🔘 Донесите руководству важность процесса — если игнорировать профвизит, у РКН останется только один рычаг: КоАП.
🔘 Найдите похожую по профилю компанию и возьмите за основу ее реестр целей из реестра РКН.
🔘 Разбейте работу по направлениям (бухгалтерия, кадры, бизнес) и раздайте ответственным — так быстрее собрать актуальный реестр процессов.
🔘 Ходите хвостиком за ИБ/ИТ — просите реестр ИСПДн, если отсутствует — информационных систем, а далее сверьте этот реестр со сведениями, которые предоставят непосредственные пользователи систем.

На основе этого уже можно собрать минимально необходимый пакет документов.

6️⃣ Примерный список документов

⏩Политика обработки
⏩Положение об обработке
⏩Порядок проверки потенциальных обработчиков
⏩Форма запроса проверки текущих обработчиков
⏩Форма поручения как ДС и как отдельное соглашение
⏩Awareness
⏩Реестр мест хранения и допусков к работе с ПД (ПП 687)
⏩Журнал ознакомления (всех сотрудников)
⏩Реестр мест хранения и допусков к работе с ПД (ПП 1119)
⏩Акты блокирования/уничтожения если есть за 3 года
⏩Инструкция DPO
⏩Приказ о назначении DPO
⏩Порядок обработки обращений и запросов
⏩Внутренний контроль и анкеты для аудита
⏩DOs & DON'Ts для всех работников
⏩RoPA и опросник для нее
⏩Акт оценки вреда
⏩Реестр носителей информации
⏩Журналы обращений и запросов за 3 года (даже если пустые)
⏩Форма согласий
⏩Положение о защите
⏩Приказ на CISO (если требуется по ПП 1119)
⏩Инструкция CISO (если требуется по ПП 1119)
⏩Руководство по ИБ Реагирование на инциденты
⏩Реестр СЗИ/СКЗИ
⏩Реестр ИСПДн
⏩Иные документы в зависимости от специфики компании (КИИ, 1УЗ, лицензируемая деятельность и тд)
⏩Могут запросить: конкретные согласия, любые ЛНА, формы ТД и договоров на услуги (хранение, телеком, пр.)
⏩Документы для МП/сайта – по ссылке

RPPA.pro | RPPAedu.pro | CC | Telegram | Yandex

🆕📱 Мастер-класс «Маркировка синтетического контента: ЕС и международные практики»

Со 2 августа 2026 года в ЕС начинают применяться требования о маркировке контента, созданного при помощи ИИ. Разбираемся, кого они касаются, что именно придётся наносить на контент и как ту же задачу решают в России и других юрисдикциях

💬 Спикеры:

*️⃣Дмитрий Кутейников — юрист и исследователь в сфере AI Governance, к.ю.н., партнёр и лектор RPPA, автор тг-канала howtocomply_AI: право и ИИ
*️⃣Анастасия Сковпень — юрист в сфере интеллектуальной собственности, член AIPPI, партнёр и лектор RPPA, автор тг-канала «Вычислить по IP»

🔥 На мастер-классе мы обсудим:

▶️ Что такое синтетический контент по смыслу Регламента ЕС по ИИ, и какой контент маркировать не нужно
▶️ Как распределяются обязанности по маркировке между разными субъектами в цепочках поставок систем и моделей ИИ
▶️ Сколько уровней маркировки должен содержать синтетический контент?
▶️ Разбор измнений в рамках Digital Omnibus, особенностей Европейского Кодекса практик по прозрачности синтетического контента и разъяснений Еврокомиссии
▶️ Как аналогичные задачи решают в Китае, России, США, Южной Корее и других юрисдикциях
▶️ Что учитывать компаниям, которые работают на нескольких рынках сразу

📌Когда: 4 августа, 19:00

✏️ Формат: онлайн, Zoom

📎 Регистрация по ссылке

Присоединяйся к осеннему ИИ-интенсиву❤️

RPPA.pro | RPPAedu.pro | AI Intensive

⭐️📕 AI: Подготовили для вас интересную подборку материалов и вебинаров от наших друзей AGIRussia.news:

*️⃣ Безопасность ИИ в 2026 году - запись VK | конспект вебинара
*️⃣ RAG. Примеры использования внешний памяти и источников данных для улучшения качества работы LLM - запись VK | конспект вебинара
*️⃣ Обратная инженерия сложного поведения биологических систем для построения искусственного интеллекта - запись VK | конспект вебинара
*️⃣ Агентные фреймворки 2026: функционал пожирает безопасность - запись VK | конспект вебинара
*️⃣ Методы оптимизации баз данных с использованием генеративных подходов машинного обучения - запись VK | конспект вебинара

📌А 6 августа запланирован вебинар "К теории сложных адаптивных систем с многократными отражениями реальности" - зарегистрироваться на семинар можно здесь

👇Ресурсы и каналы сообщества AGIRussia

😎 Интервью - как основа аудита процессов обработки ПД

🔥 В рамках мастер-класса Екатерины Басниевой "Аудит обработки данных: как посмотреть под капот компании" прошлого потока образовательного продукта DPO разбирали, как проводить внутренний аудит: от планирования до отчета руководству и внедрения изменений. Но больше всего внимания уделили интервью с владельцами процессов: недооценённому и очень результативному инструменту DPO.

✔️ Как готовиться к интервью
🔘Заранее продумать, как обычно устроен процесс, и предположить точки риска.
🔘Подготовить простое, не «юридическое» объяснение, что такое ПД, и описание функции DPO — это снимает настороженность.
🔘Прикинуть, какими системами пользуется подразделение, чтобы по ходу разговора сверяться.

⚡️ Во время интервью не спрашивать «как вы обрабатываете персональные данные» — такой вопрос уводит либо в идеальный, либо в никакой ответ. Идти от события к событию: кто первым получает данные, куда они попадают, кто дальше принимает решения и кто реально работает с системой день в день. Именно так вскрываются настоящие ответственные — часто не те, кто указан в документах.

📌Лайфхаки для отличного интервью:
🟣Начинать с подробного рассказа, кто вы, зачем пришли и чем можете помочь — установка именно на помощь. Описывать свою ценность простыми словами: «я слежу, чтобы персональные данные обрабатывались безопасно и были защищены», а не «я DPO»
🟣Заход «проведите меня по вашему обычному рабочему дню» работает лучше, чем разговор про соблюдение требований.
🟣Вопрос «покажите» — самый сильный инструмент аудитора: до 90% рисков находится при демонстрации экрана.
🟣Переспрашивать своими словами и не завершать разговор без короткого summary.

🔜 Подробнее о лайфхаках — в видео с занятия, часть которого прикрепляем к посту.

Отдельно на занятии командами отрабатывали проведение интервью вживую — с разбором ошибок и сильных сторон. Эта часть занятия зашла слушателям настолько хорошо, что мы решили сделать отдельный семинар по аудиту, где практики будет ещё больше (и не только в рамках этого занятия) 😊

🔥 До старта потока осталось немного. Присоединяйтесь!

RPPA.pro | RPPAedu.pro | CC

⚡️ Можно ли хорошо заниматься персональными данными и не знать английский?

Можно🙂

Примерно так же, как можно заниматься privacy и никогда не открывать GDPR. Рано или поздно всё равно придётся столкнуться с:

*️⃣Privacy Policy
*️⃣DPA
*️⃣SCC
*️⃣EDPB Guidelines
*️⃣зарубежными кейсами и практикой

И тут начинается самое интересное. Потому что перевод юридических терминов — это не про слова. Это про смыслы.

📌Наши коллеги из Right Words Legal как раз повторяют свой мастер-класс на тему "Особенности перевода Privacy Policy"

📎 10 августа, 19:00

⭐️ Участие бесплатное для всех желающих.

🔜 Регистрация под этим постом

📕 А чтобы юридический английский не ассоциировался исключительно с политиками конфиденциальности и договорами на 40 страниц, коллеги собрали немало интересных материалов:
🟡 Spider-Man, клевета и IP.
🟡 Unbreakable Vow — возможно, самый жёсткий договор в поп-культуре.
🟡 Урок от Урсулы по подписанию договора

📌 И немного практики для тех, кто регулярно читает англоязычные документы:
🟡 Как сказать «последний».
🟡 Как сказать «причина».
🟡 Как по-английски правильно «требовать».

Мы в privacy регулярно говорим о необходимости читать первоисточники. А для этого нужен не только доступ к документу, но и язык, на котором он написан

🆕📱 AIG.Club. Круглый стол: Shadow AI - риски, практика и управление

20 августа в 19:00 приглашаем на открытый круглый стол, посвященный одной из самых обсуждаемых тем последних месяцев - Shadow AI

⚡️ Модератор:

🔘Софья Смирнова - советник M&A и корпоративной практики O2 Consulting, руководитель практики AI & Legal Tech, тг-канал Дамасские чернила | AI и M&A

💬 Спикеры:

🔘Анастасия Сковпень - юрист в сфере интеллектуальной собственности, член AIPPI, партнёр и лектор RPPA, тг-канал Вычислить по IP
🔘Дмитрий Кутейников — юрист и исследователь в сфере AI Governance, к.ю.н., партнёр и лектор RPPA, автор тг-канала howtocomply_AI: право и ИИ
🔘Александр Партин - адвокат, партнер Privacy Advocates CIPP/E, CIPM, Сопредседатель Кластера РАЭК Privacy&Legal Innovation, соучредитель РППА Офис
🔘Артем Никифоров - магистр частного права (РШЧП), ведущий юрист управления интеллектуальной собственностью Яндекса
🔘Шермет Курбанов - старший юрист и соруководитель IP/Digital практики SL LEGAL, тг-канал Software & Law

🔥 О чём поговорим:

▶️Какие правовые риски создаёт Shadow AI: персональные данные, коммерческая тайна, интеллектуальная собственность, ответственность и возможные последствия для бизнеса
▶️Какие меры действительно работают: опыт компаний, внутренние политики, технические ограничения, обучение сотрудников и AI Governance
▶️Российский и международный взгляд: как к проблеме подходят в разных юрисдикциях и какие практики уже можно применять
▶️Практические рекомендации для:
- руководителей AI Governance и CDO
- руководителей юридических департаментов и юридических фирм
- специалистов по IP, персональным данным и защите коммерческой тайны

📌 Когда: 20 августа, 19:00 (МСК)

📱 Где: Онлайн (Zoom)

✏️ Регистрация по ссылке (Есть вопрос по теме? Оставьте его заранее в форме - обсудим во время круглого стола)

🔜 Старт осеннего ИИ-интенсива уже 1 октября. Присоединяйся!

RPPA.pro | RPPAedu.pro | AI Intensive

⚡ Privacy Kitchen / Москва

Есть вещи, которые лучше не менять. Например, традицию собираться за большим столом.

21 августа в Москве мы проведем Privacy Kitchen - камерный ужин для privacy-специалистов, где профессиональный разговор продолжается далеко за пределами привычных конференций.

В этот вечер обсудим, как сегодня строится privacy-функция в компаниях:

🟡когда одному DPO уже недостаточно работать в одиночку;
🟡как формировать команду и получать поддержку бизнеса;
🟡где проходит граница между контролем, партнерством и сервисной функцией;
🟡в каких случаях эффективнее развивать внутреннюю команду, а когда разумнее привлекать внешнюю экспертизу;
🟡как меняются ожидания бизнеса от функции privacy и куда движется профессия.

На этот раз мы посмотрим на эти вопросы сразу с двух профессиональных точек зрения.

*️⃣ Егор Смородинов, DPO «ВкусВилл», поделится взглядом со стороны in-house: развитием функции внутри компании, взаимодействием с бизнесом и практическими вызовами, с которыми ежедневно сталкивается команда.

*️⃣ Максим Лагутин, основатель и эксперт по персональным данным Б-152, расскажет, как те же задачи выглядят со стороны консалтинга: что компании чаще всего ожидают от внешней экспертизы, где проходят границы аутсорсинга и как меняется роль консультанта в современных privacy-проектах.

Как и всегда, Privacy Kitchen - это возможность не только послушать коллег, но и обсудить реальные кейсы, задать вопросы и обменяться опытом в небольшом кругу единомышленников.

📎 Москва
🔘 21 августа
🔘 19:00

🌟 Ссылка на регистрацию

⭐ Стоимость участия — 4500 ₽.

Количество мест традиционно ограничено.

🔥 До встречи за столом

RPPA.pro | RPPAedu.pro | CC

Простая математика, которая, надеюсь, никому не пригодится👆

И еще кое-что: за неуведомление РКН количественного порога нет. Ч. 3.1 ст. 21 Закона № 152-ФЗ обязывает уведомить РКН, если установлен факт неправомерной или случайной передачи / предоставления / распространения / доступа к ПДн, повлекший нарушение прав субъектов.

Ни 1 000 субъектов, ни 10 000 идентификаторов в этой норме нет.

Ч. 11 ст. 13.11 КоАП отдельно наказывает именно за невыполнение или несвоевременное выполнение этой обязанности: для юрлица 1–3 млн руб.

Да и по НКЦКИ все просто: есть подключение, тогда и туда, и туда уведомляй: обрати внимание, формулы отличаются!

Разбиралась тут с терминологией

🔥⚡ Код ИБ ПРОФИ — выездной интенсив по кибербезопасности в формате «три дня учебы, три дня приключений».

📎 9-13 сентября 2026
📌 Сочи, курорт «Роза Хутор»

✔️ Что ждет участников?

🔘 Практические мастер-классы от CISO Сбербанка, Яндекса, VK, Билайна, Озон Банка, Райффайзенбанка и других ведущих компаний. Эксперты разберут реальные кейсы и подходы, которые редко обсуждаются публично.

🔘 Киберучения в штабе и на киберполигоне, где можно отработать действия в условиях, максимально приближенных к реальным инцидентам.

🔘 Удостоверение о повышении квалификации установленного образца (16 ак. часов).

🔘 Горы, рафтинг, сапы, волейбол, барбекю-вечеринки, песни под гитару у костра и общение с людьми, которые каждый день отвечают за кибербезопасность крупнейших компаний страны.

⭐️Код ИБ ПРОФИ — это возможность не только получить знания, но и на несколько дней выйти из рабочей рутины, сменить обстановку и стать частью профессионального сообщества.

✔️Подробности — на сайте Код ИБ. Количество мест ограничено.